Chatbot y protección de datos: RGPD, AEPD y AI Act (2026)

Desde el 2 de agosto de 2026, todo chatbot o agente de IA que atienda a clientes en España debe avisar de que es una inteligencia artificial (artículo 50 del Reglamento de IA). El ómnibus de IA, publicado el 24 de julio de 2026, retrasó el alto riesgo, no ese aviso. También rigen el RGPD y el contrato con el proveedor.

Esta guía reúne la norma, la fecha y la tarea de cada obligación, a 2 de noviembre de 2026. Ese día, de los 790 perfiles del directorio de expertuno, 170 declaraban IA conversacional, 63 cumplimiento (AI Act y RGPD) y solo 11 ambas: la mayoría de las empresas tendrá que revisar la parte legal por su cuenta o con otro proveedor.

Información general; no constituye asesoramiento jurídico.

¿Qué ha cambiado en 2026 para los chatbots con el AI Act y el ómnibus digital?

En noviembre de 2025 la Comisión propuso dos «ómnibus digitales», uno sobre IA y otro sobre datos, RGPD y cookies. El ómnibus de IA ya es ley. El Reglamento (UE) 2026/1744, de 8 de julio de 2026, publicado el 24 de julio y en vigor al tercer día, modifica el Reglamento (UE) 2024/1689 (AI Act) y aplaza sobre todo el alto riesgo:

EXPERTUNO · COMPARATIVA

¿Qué ha cambiado en 2026 para los chatbots con el AI Act y el ómnibus digital?

Obligación	Aplicación	¿Afecta a un chatbot de atención al cliente?
Prácticas prohibidas (art. 5) y alfabetización en IA (art. 4)	2 de febrero de 2025	Sí: el art. 4 alcanza a toda empresa que use IA
Aplicación general, incluida la transparencia del art. 50	2 de agosto de 2026	Sí: avisar de que se habla con una IA
Marcado del contenido sintético (art. 50.2) en sistemas generativos ya comercializados	Transición hasta el 2 de diciembre de 2026	Lo cumple el proveedor del sistema generativo
Alto riesgo del anexo III	2 de diciembre de 2027 (antes, 2-8-2026)	Solo si se usa para fines del anexo III
Alto riesgo del anexo I (productos regulados)	2 de agosto de 2028 (antes, 2-8-2027)	No

Fuente: art. 113 consolidado, AI Act Service Desk (Comisión Europea); Reglamento (UE) 2026/1744, EUR-Lex.

Las directrices de la Comisión sobre el artículo 50 son del 20 de julio de 2026. El ómnibus de datos y RGPD sigue en negociación (propuesta del 19 de noviembre de 2025, procedimiento 2025/0360(COD)): a fecha de cierre, el Consejo tenía mandato negociador, pero el Parlamento Europeo no había fijado posición. El RGPD y la normativa de cookies se aplican tal como están.

¿Quién responde legalmente: mi empresa o el proveedor del chatbot?

En el RGPD, la empresa que pone el chatbot es la responsable del tratamiento; la plataforma, el integrador y el proveedor del modelo actúan normalmente como encargados, con contrato del artículo 28, y la empresa responde ante la AEPD aunque el fallo sea del proveedor. Si usa las conversaciones para sus propios fines, como entrenar modelos, deja de ser mero encargado: prohíbelo por contrato.

En el AI Act, el artículo 50.1 obliga al proveedor del sistema a diseñarlo para que se sepa que es una IA. Con una plataforma cerrada, es la plataforma; si la empresa monta su asistente sobre la API de un modelo y lo pone en servicio con su nombre, puede ser ella la proveedora (art. 3), y como mínimo será responsable del despliegue. Déjalo resuelto en el contrato.

¿Qué base jurídica necesita un chatbot según el RGPD?

El artículo 6.1 del RGPD exige una base jurídica por finalidad:

EXPERTUNO · COMPARATIVA

¿Qué base jurídica necesita un chatbot según el RGPD?

Finalidad	Base habitual (art. 6.1 RGPD)	Observaciones
Consultas sobre un pedido, reserva o servicio contratado	b) contrato o medidas precontractuales	La base natural
Dudas generales de visitantes	f) interés legítimo	Con ponderación documentada
Ofertas o boletines	a) consentimiento	Casilla separada y no premarcada
Entrenar o mejorar modelos con las conversaciones	a) consentimiento, salvo anonimización	Mejor evitarlo
Grabar llamadas de un bot de voz	Según finalidad; consentimiento expreso para reclamaciones (Ley 10/2025)	Ver canal teléfono

Si el chatbot puede recibir categorías especiales de datos (salud en una clínica, biometría en un bot de voz), se aplica el artículo 9 del RGPD. En una clínica es preferible que el asistente no pida síntomas y derive a una persona cuando el paciente empiece a contarlos.

¿Qué hay que informar al usuario y cómo se redacta el aviso?

Hay tres capas de información que se suelen confundir:

1. El aviso de IA (art. 50 AI Act), «de manera clara y distinguible a más tardar con ocasión de la primera interacción» (art. 50.5), salvo que resulte evidente. Las directrices de la Comisión descartan etiquetas genéricas y avisos solo legibles por máquina o escondidos en las condiciones.
2. La información del artículo 13 del RGPD (responsable, delegado, finalidades y bases, destinatarios, transferencias, conservación, derechos y reclamación ante la AEPD), que se puede dar por capas.
3. La opción de hablar con una persona «en cualquier momento de la interacción» (art. 8.2 de la Ley 10/2025, de 26 de diciembre, de servicios de atención a la clientela), para servicios básicos (agua, gas, electricidad, transporte, servicios postales, comunicaciones electrónicas, servicios financieros) y empresas que superen los umbrales de tamaño de la ley.

Plantilla de aviso informativo para el chatbot

PLANTILLA ORIENTATIVA. Adáptela a su caso y revísela con su asesor; los corchetes son variables.

Mensaje de bienvenida: «Hola, soy el asistente virtual de [Empresa]. Soy un sistema de inteligencia artificial, no una persona. Puedo ayudarte con [pedidos, reservas, dudas]. Si prefieres que te atienda una persona, escribe "agente" en cualquier momento [horario o canal alternativo]. Así tratamos tus datos: [enlace].»

Primera capa de privacidad:

• Responsable: [Razón social, NIF, dirección]. Delegado de protección de datos: [correo], si procede.
• Finalidad y base: gestionar tu [pedido/reserva/incidencia] (contrato) y consultas generales (interés legítimo); publicidad, solo si lo aceptas.
• Proveedores: [Plataforma] y [Proveedor del modelo], como encargados. [Si aplica: algunos datos se tratan en EE. UU. con el Marco de Privacidad de Datos UE-EE. UU. / con cláusulas contractuales tipo.]
• Conservación: [X días]; después, borrado o anonimización. No escribas datos de salud, bancarios ni contraseñas.
• Derechos: ejercítalos en [correo/formulario]; puedes reclamar ante la AEPD (www.aepd.es).

Bot de voz: «Le atiende un asistente de inteligencia artificial de [Empresa]. [Con su permiso, grabaremos la llamada para dejar constancia de su gestión; diga "no" si no lo desea.] Para hablar con una persona, diga "operador" en cualquier momento.»

¿Qué cláusulas debe tener el contrato con el proveedor del chatbot?

El artículo 28.3 del RGPD fija el mínimo del contrato de encargo; los subencargados requieren autorización previa por escrito y, si es general, aviso de cambios para poder oponerte (art. 28.2). Con un chatbot de IA, añade:

• [ ] No entrenamiento con las conversaciones.
• [ ] Subencargados con país (plataforma, modelo, alojamiento, transcripción, analítica) y garantía de transferencia fuera del EEE.
• [ ] Región de alojamiento de datos, registros y copias, con opción solo UE, y retención configurable.
• [ ] Aviso de IA y escalado a humano dentro del alcance.
• [ ] Brechas, derechos (exportar y borrar la conversación de un usuario) y documentación para la EIPD.
• [ ] Cambio de modelo con aviso previo y permisos mínimos del agente frente a la inyección de instrucciones.

La AEPD publica un modelo de cláusulas de encargo. Ver también la checklist antes de firmar con una consultora de IA y los requisitos legales para contratar servicios de IA.

¿Puedo usar un chatbot que envía datos a Estados Unidos?

Sí, con garantías. La decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. es del 10 de julio de 2023; el Tribunal General desestimó su anulación (T-553/23, Latombe/Comisión) el 3 de septiembre de 2025 y el demandante recurrió en casación el 31 de octubre de 2025 (C-703/25 P), sin sentencia localizada a fecha de cierre. Solo cubre a empresas adheridas (comprueba la lista oficial); si no lo están, hacen falta cláusulas contractuales tipo (Decisión de Ejecución (UE) 2021/914) y una evaluación de la transferencia. El tratamiento en la UE es lo más resistente a un cambio judicial.

¿Cuánto tiempo se pueden guardar las conversaciones?

El RGPD no fija días: aplica la limitación del plazo y la minimización (art. 5.1). En un chatbot, se traduce en no pedir lo innecesario (para un pedido basta su número y un código), separar la incidencia que pasa al CRM de la transcripción completa, configurar borrado automático en la plataforma y en el proveedor del modelo, enmascarar tarjetas, IBAN o contraseñas y limitar la memoria del agente: recordar conversaciones anteriores es un tratamiento adicional que hay que justificar, y las orientaciones de la AEPD sobre IA agéntica (18 de febrero de 2026) piden analizar sus vulnerabilidades y amenazas. En empresas sujetas a la Ley 10/2025, la reclamación grabada con consentimiento expreso, o su transcripción, se conserva al menos hasta notificar la resolución (art. 12.1).

¿Cuándo hace falta una evaluación de impacto (EIPD) para un chatbot?

La EIPD del artículo 35 del RGPD es obligatoria cuando hay probabilidad de alto riesgo, y según la lista de la AEPD (art. 35.4) cumplir dos o más criterios obliga en la mayoría de los casos. Un chatbot con IA generativa suele cumplir ya el de tecnologías nuevas o uso innovador, así que basta otro: perfilado (el bot puntúa contactos comerciales), decisiones automatizadas (deniega una devolución o una cita sin intervención humana), categorías especiales (clínicas, seguros, servicios financieros), biometría (reconoce al cliente por la voz), personas vulnerables (menores, usuarios de servicios sociales), gran escala (atención masiva en un servicio básico) o combinación de datos (cruce con CRM, compras y analítica web).

Un bot de preguntas frecuentes sin identificación, sin conexión a sistemas internos ni datos sensibles puede no necesitarla (documenta por qué). Un agente de WhatsApp conectado al CRM que cualifica contactos, o un bot de voz en una clínica, deberían tenerla antes de arrancar.

¿Cómo se atienden los derechos de los usuarios del chatbot?

El plazo es de un mes, prorrogable dos meses más por complejidad o volumen avisando dentro del primero (art. 12.3 RGPD). Puntos débiles: acceso y supresión en todas las capas (plataforma, CRM, registros del proveedor), localizar la conversación si el chat es anónimo (en WhatsApp, por el número), la oposición frente al interés legítimo y el artículo 22 del RGPD: si el bot decide sobre devoluciones o condiciones con efectos significativos, prevé intervención humana.

¿Qué exige la alfabetización en IA del artículo 4?

Rige desde el 2 de febrero de 2025 para toda empresa que use IA. Tras el Reglamento 2026/1744, proveedores y responsables del despliegue «adoptarán medidas para apoyar» la alfabetización de su personal, sin obligación de garantizar un nivel concreto. Quien configura el chatbot debe saber qué puede inventar, qué datos no debe recibir y cuándo derivar a una persona; una sesión documentada y una guía interna bastan para empezar. La Ley 10/2025 pide también formación para quienes diseñan los medios automatizados (art. 9). Para financiarla, ver las bonificaciones de formación en IA.

¿Qué papel tiene la AESIA y qué multas hay?

La AESIA (estatuto aprobado por el Real Decreto 729/2023, de 22 de agosto) vigila el mercado de IA y en diciembre de 2025 publicó 16 guías prácticas no vinculantes, entre ellas sobre transparencia. El Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial (expediente 121/000096, BOCG del 12 de junio de 2026) le encarga vigilar el artículo 50 (reserva a la AEPD ciertas prácticas prohibidas y sistemas biométricos) y califica de graves las infracciones de transparencia más relevantes; no nos consta su aprobación definitiva. La AEPD sigue al cargo de los datos personales. Por incumplir el artículo 50, el artículo 99.4 del Reglamento de IA prevé hasta 15 millones de euros o el 3 % del volumen de negocio mundial, la cifra mayor (la menor para pymes, art. 99.6).

¿Qué cambia según el canal: web, WhatsApp o teléfono?

Widget web. El aviso de IA va en la ventana del chat. La cookie que mantiene abierta la sesión suele ser técnica; las de analítica o retargeting que cargan algunos widgets requieren consentimiento (art. 22.2 LSSI) y deben bloquearse hasta obtenerlo.

WhatsApp Business. API oficial y Meta declarada en la información al usuario. Desde el 15 de enero de 2026, Meta restringe a los proveedores de IA de propósito general, no a las empresas que atienden a sus clientes con IA. Sobre la parte técnica, ver agentes de IA para WhatsApp. En el directorio, 13 de los 170 perfiles conversacionales declaran WhatsApp en su stack.

Teléfono. Aviso de IA en los primeros segundos. Con la Ley 10/2025, la grabación de reclamaciones requiere consentimiento expreso y, si se da, es obligatoria, y ningún contestador automático puede ser el único medio de atención (art. 8.1). Reconocer a la persona por la voz es un dato biométrico (art. 9 RGPD); analizar emociones obliga a informar (art. 50.3 AI Act).

Tabla de requisitos: qué norma, desde cuándo y qué hacer

EXPERTUNO · COMPARATIVA

Tabla de requisitos: qué norma, desde cuándo y qué hacer

Obligación	Norma	Desde	Qué hacer
Avisar de que es una IA	Art. 50.1 y 50.5 Reglamento (UE) 2024/1689	2-8-2026	Mensaje claro en la primera interacción
Alfabetización en IA	Art. 4 Reglamento de IA (redacción 2026/1744)	2-2-2025	Formación documentada
Base jurídica, información, encargo, conservación y derechos	Arts. 5.1, 6, 13, 28 y 12 a 22 RGPD	25-5-2018	Mapa de bases, primera capa en el chat, contratos, borrado automático, procedimiento a un mes
Transferencias	Cap. V RGPD; adecuación UE-EE. UU. (2023); cláusulas tipo 2021/914	Según proveedor	Verificar adhesión o firmar cláusulas; preferir UE
EIPD	Art. 35 RGPD; lista AEPD	Antes de arrancar	Si hay dos o más criterios
Cookies del widget	Art. 22.2 LSSI	Vigente	Banner y bloqueo previo
Atención humana y grabación de reclamaciones	Arts. 8 y 12.1 Ley 10/2025 (empresas obligadas)	12 meses desde el 28-12-2025	Comando para pasar a un agente; consentimiento expreso y conservación hasta la resolución

Fuente: EUR-Lex, AI Act Service Desk, BOE y AEPD.

Qué NO dice la ley: mitos frecuentes sobre chatbots y protección de datos

• «El AI Act se ha aplazado a 2027». Solo el alto riesgo.
• «Mi chatbot es de alto riesgo». No por ser IA, sino con fines del anexo III (empleo, educación o acceso a servicios esenciales, entre otros).
• «Si el proveedor es una gran tecnológica, el cumplimiento es cosa suya». La responsable es la empresa que usa el bot.
• «Siempre tiene que haber un humano disponible». Solo para las empresas del ámbito de la Ley 10/2025; para el resto, el límite es el artículo 22 del RGPD cuando el bot decide.
• «Necesito un certificado del AI Act». No existe un certificado obligatorio para un chatbot de este tipo.

Checklist antes de poner el chatbot en producción

• [ ] El bot dice que es una IA desde el primer mensaje o segundo.
• [ ] Hay una salida a una persona probada (obligatoria si aplica la Ley 10/2025).
• [ ] Cada finalidad tiene base jurídica y el aviso de privacidad está enlazado en el chat.
• [ ] Hay contrato de encargo con cada proveedor, con subencargados y no entrenamiento.
• [ ] Las transferencias tienen garantía o el tratamiento está en la UE.
• [ ] Hay plazos de borrado configurados y filtros de datos sensibles.
• [ ] La EIPD está hecha o descartada por escrito.
• [ ] Las cookies no técnicas del widget se bloquean hasta el consentimiento y el equipo tiene formación documentada.

¿Quién puede ayudarme con un chatbot que cumpla la normativa?

Quien construye el asistente está entre los especialistas en IA conversacional (170 perfiles a 2 de noviembre de 2026); quien revisa el cumplimiento, entre los especialistas en cumplimiento AI Act y RGPD (63, 54 de núcleo IA). Solo 11 declaran ambas. Pregunta quién firma el contrato de encargo, qué subencargados usa y dónde se alojan los datos. Ver también precios y plataformas de chatbot de atención al cliente, cómo elegir chatbot para una empresa pequeña, qué incluye una consultoría de IA para RGPD y AI Act y el directorio de expertuno.

Veredicto del consejo

Mercado. Solo 11 de los 170 perfiles conversacionales declaran también cumplimiento, así que lo habitual será combinar integrador y revisión legal.

Económico. Lo caro no es la multa teórica, sino rehacer el proyecto.

Técnico. Aviso de IA, salida a una persona, borrado automático y tratamiento en la UE son configuraciones, y un proveedor que no las ofrece es una señal de alarma.

Comprador. Pide por escrito la lista de subencargados con país, la cláusula de no entrenamiento y el plazo de retención.

Metodología y fuentes

Fuentes primarias consultadas el 2 de noviembre de 2026: Reglamento (UE) 2026/1744 y casación C-703/25 P (EUR-Lex); artículos 50, 99 y 113 consolidados del Reglamento (UE) 2024/1689 (AI Act Service Desk) y directrices de la Comisión sobre el artículo 50; Ley 10/2025 y LSSI (BOE); documentación de la AEPD; BOCG del proyecto de ley de gobernanza de la IA. Pueden cambiar la casación del Marco de Privacidad, la ley de gobernanza, el ómnibus de datos y las condiciones de Meta. Las cifras de perfiles proceden de consultas de solo lectura a la base de datos de expertuno del 2 de noviembre de 2026 (perfiles publicados, no demo; datos autodeclarados).